Как проверить блокировку токенов ликвидности и не подписать лишнее

Чтобы проверить блокировку токенов ликвидности и не подписать лишнее, научитесь различать три вида запроса: отправку операции, подпись произвольного сообщения и подпись типизированных данных. Первый тратит газ и виден в истории адреса. Третий газа не тратит, в истории не появляется — и при этом способен выдать постороннему адресу право списывать ваши LP-токены. Опасен не газ, а содержимое запроса: сумма разрешения, адрес получателя права и срок его действия.

Как проверить блокировку токенов ликвидности и не подписать лишнее: три вида запроса

Запросы различаются по последствиям. Газ тут ни при чём. Отправка операции меняет состояние сети, стоит газа и оставляет хеш. Подпись произвольного сообщения чаще нужна для входа на сайт и ничего не переводит, но прочитать её текст стоит: подпись под фразой из нескольких строк может оказаться поручением. Подпись типизированных данных — самая серьёзная: она формализована по стандарту EIP-712 и предназначена для того, чтобы кошелёк показал человеку структуру подписываемого, а не «непрозрачную шестнадцатеричную строку с минимальным контекстом», как сказано в мотивировке стандарта.

Разделитель домена в такой подписи содержит имя, версию, идентификатор сети и адрес проверяющего контракта. Последние два поля читаются первыми. Сеть не та — отказ. Адрес проверяющего контракта не совпадает с хранителем — отказ. Остальные поля без этих двух бессмысленны.

Что означает неограниченное разрешение в числах

Арифметика объясняет суть претензии. Счёт короткий. Разрешение на сумму вашей блокировки заканчивается вместе с ней. Неограниченное не заканчивается никогда: по тексту стандарта ERC-20 одобрение «позволяет получателю списывать с вашего счёта многократно, в пределах указанной суммы», а повторный вызов перезаписывает прежнее значение. Формулировка прочитана в тексте стандарта 17 октября 2026 года. Значит, выданное право живёт до вашей собственной операции обнуления — и распространяется на LP-токены, которые вы внесёте в пул через год.

Масштаб ставки задаёт рынок: по данным агрегатора DefiLlama на 17 октября 2026 года в протоколах сети Ethereum находится около 49,87 млрд долларов, в BSC — порядка 5,47 млрд. Выданные и забытые разрешения образуют отдельный слой этого объёма, невидимый в балансе кошелька: баланс показывает, чем вы владеете, но не показывает, кому вы раньше разрешили это забрать.

Подпись, которая работает вместо операции

Отдельного разговора стоит разрешение по подписи. Стандарт EIP-2612 описывает функцию с полями владельца, получателя права, суммы, счётчика защиты от повтора и срока годности. Подпись создаётся вне сети, а предъявить её контракту вправе любой: «вызывающим функцию может быть любой адрес», говорит текст стандарта. Расход газа ложится на предъявителя, и в истории вашего адреса операции не появляется вовсе.

Практический вывод жёсткий. Газ не защищает. Отсутствие газа — не признак безопасности, а признак того, что следов не останется. Подписи такого вида встречаются в маршрутизаторах обмена, где заменяют отдельное одобрение; как считать издержки в этих маршрутах, разбирает материал про то, как пользоваться агрегатором маршрутов обмена и понять структуру комиссий.

Порядок чтения запроса перед подписью

1. Определите вид запроса: операция, сообщение или типизированные данные — кошелёк называет их по-разному, но различает всегда.
2. Прочитайте идентификатор сети и адрес проверяющего контракта в разделителе домена.
3. Сверьте адрес получателя права с адресом контракта-хранителя из обозревателя блоков.
4. Посмотрите сумму: 78 цифр или слово «неограниченно» означают одно и то же.
5. Найдите поле срока и переведите его из секунд в календарное время.
6. Откажитесь от подписи, если расшифровки метода нет и видны только сырые данные.

Шестой пункт недооценивают. Зря. Подпись вслепую, когда кошелёк не смог разобрать структуру данных, — согласие с содержимым, которого вы не видели. Отказ ничего не стоит: сайт получит ошибку и предложит снова. Повторное предложение — нормальное поведение интерфейса, а не наказание за осторожность, и из обращений читателей видно, что именно страх «сломать процесс отказом» заставляет людей подписывать непонятное.

• Вид запроса определён до нажатия кнопки.
• Идентификатор сети в домене совпал с рабочей сетью.
• Адрес проверяющего контракта сверен с обозревателем.
• Сумма разрешения ограничена суммой блокировки.
• Срок годности подписи не превышает часа.
• Остаток прежних разрешений на LP-токены проверен.

Сценарий, при котором теряется позиция целиком

В протоколах концентрированной ликвидности позиция поставщика — не взаимозаменяемый токен, а отдельный объект коллекции со своим диапазоном цен. Разрешение здесь выдаётся не на сумму, а на распоряжение всеми объектами коллекции сразу, включая те, которые появятся позже. Одна подпись — и доступ открыт ко всему набору позиций разом, причём сумма в таком разрешении не указывается вовсе, поэтому ограничить его величиной одной блокировки технически нечем. Устройство таких позиций разбирает материал о том, как выбрать диапазон в пуле концентрированной ликвидности.

Из обращений читателей известен и более обыденный сюжет. Человек выдал неограниченное разрешение полтора года назад ради одной блокировки, протокол с тех пор обновился, адрес получателя права остался прежним. Разрешение никуда не делось. Оно действует. Потеря средств в смарт-контракте необратима: ошибка кода, захват управления или подпись чужого вызова уносят сумму полностью, и компенсации нет ни по закону, ни по правилам площадки. Доходность протокола к банковскому вкладу не приравнивается: у вклада есть обязанное лицо и страхование, у контракта нет ни того, ни другого. Проверять состояние пары перед каждой подписью помогает разбор про то, как проверить пул перед покупкой нового токена, а фиксацию результата — материал о том, как перевести доход из протокола в стейблкоин.

Частые вопросы